Engenheiro Líder de Segurança de Aplicações

Resumo da Descrição do Trabalho A indústria de serviços financeiros é continuamente alvo de adversários cibernéticos sofisticados que vão de organizações criminosas a atores do estado-nação. Raymond James conta com o Cyber Threat Center (CTC) para identificar, avaliar e reduzir o risco tecnológico em toda a empresa. O engenheiro líder de segurança de aplicativos será um líder técnico prático responsável por integrar a segurança no ciclo de vida do desenvolvimento de software, avaliando o risco de aplicação e API e permitindo que as equipes de desenvolvimento entreguem software resiliente em escala. Esse papel combina engenharia de segurança de aplicativos, avaliação de segurança de software, análise de vulnerabilidade, práticas seguras de desenvolvimento de software e arquitetura de segurança cibernética. O engenheiro criará e automatizará controles de segurança em pipelines CI/CD; realizará testes baseados em risco e modelagem de ameaças; e aplicará responsavelmente técnicas assistidas por IA para acelerar a descoberta de vulnerabilidade, triagem, validação e remediação Descrição do trabalho Esta posição segue um modelo de trabalho híbrido, com uma expectativa de estar no escritório 3 dias por semana no São Petersburgo, FL Corporate Office local. Atenção: Este papel não é elegível para o patrocínio do visto de trabalho, nem atualmente nem no futuro. Responsabilidades • Liderar atividades de engenharia de segurança de aplicativos em aplicativos web, APIs, aplicativos móveis, serviços nativos na nuvem, containers e plataformas de suporte. • Incorpore controles de segurança ao longo do ciclo de vida de desenvolvimento de software (SDLC), incluindo requisitos, arquitetura, design, desenvolvimento, construção, teste, lançamento e monitoramento pós-produção. • Projete, implemente, ajuste e governe testes de segurança automatizados em pipelines CI/CD, incluindo testes de segurança de aplicativos estáticos (SAST), testes de segurança de aplicativos dinâmicos (DAST), testes de segurança de aplicativos interativos (IAST), análise de composição de software (SCA), detecção de segredos, varredura de infraestrutura-como código, digitalização de imagem de container, testes de segurança de API e testes de aplicativos móveis. • Desenvolver automação reutilizável, integrações e segurança-como-código usando Python, PowerShell, JavaScript, scripting shell, APIs, webhooks e plataformas de pipeline para reduzir o esforço manual e melhorar a cobertura de controle. • Crie fluxos de trabalho automatizados que normalizem, correlacionam, enriquecem, deduplicam, priorizam, ticket, rota, reteste e aproximam os achados de vulnerabilidade de aplicativos em ferramentas de segurança e sistemas de engenharia. • Leverage AI-assisted aplicação análise de vulnerabilidade para resumir evidências, identificar relações código-a-vulnerabilidade, propor casos de teste, priorizar caminhos de exploração provável, explicar achados para desenvolvedores, e rascunho de orientação de remediação. • Avalie e governe os recursos de segurança assistidos por IA para precisão, privacidade, manuseio de dados, resistência à injeção rápida, risco de modelo e cadeia de suprimentos, reprodutibilidade, auditoriabilidade e supervisão humana; meça resultados falso-positivos, falso-negativos e qualidade de remediação. • Execute avaliações de segurança de aplicação e API assistidas por ferramentas e manuais, valide a exploração, elimine falsos positivos, crie provas de conceito quando apropriado e forneça orientações claras de remediação. • Modelagem de ameaças de aplicação e revisões de risco de arquitetura usando métodos práticos, como casos de abuso, análise de fluxo de dados, análise de confiança e modelagem de caminho de ataque. • Parceiro com engenheiros de software, arquitetos, proprietários de produtos, equipes DevOps/plataforma, equipes de nuvem e stakeholders de risco para traduzir requisitos de segurança em soluções de engenharia pragmáticas. • Desenvolva e mantenha padrões de codificação seguros, padrões de segurança reutilizáveis, guardiões, implementações de referência e materiais de capacitação de desenvolvedores alinhados com as orientações da OWASP e as práticas reconhecidas da indústria. • Criar objetivos de nível de serviço baseado em risco e modelos de priorização que respondam pela exploração, acessibilidade, criticidade empresarial, sensibilidade de dados, controles compensadores, inteligência de ameaça e exposição. • Definir e relatar métricas significativas do programa, incluindo cobertura, adoção de controle, envelhecimento de vulnerabilidade, recorrência, taxa de escape, tempo médio de reparação, eficácia de automação e redução de risco. • Realizar análise da causa raiz para classes de vulnerabilidade recorrentes e impulsionar a prevenção sistêmica através de mudanças de quadro, padrões de estrada pavimentada, controles automatizados e educação direcionada. • Servir como ponto de escalada técnica para complexas vulnerabilidades de aplicação e grandes incidentes de cibersegurança; participar em uma rotação de plantão, conforme necessário. • Engenheiros e desenvolvedores de segurança de aplicativos Mentor, contribuem para estratégia técnica e roteiros e permanecem atuais com técnicas de ataque emergentes, tecnologias defensivas e riscos de desenvolvimento de software habilitados para IA. Qualificações Conhecimento, Habilidades e Habilidades: • Experiência comprovada identificando, validando, explicando e remediando vulnerabilidades de aplicativos e APIs, incluindo classes de vulnerabilidade representadas no Top 10 da OWASP e no Top 10 da OWASP API Security. • Compreensão avançada de autenticação, autorização, gerenciamento de sessão, criptografia, manipulação de entrada, desserialização, falsificação de solicitação do lado do servidor, abuso lógico de negócios e superfícies modernas de ataque cliente/servidor. • Experiência prática com SAST, DAST, IAST, SCA, testes de API, detecção de segredos, digitalização de containers, escaneamento de infraestrutura como código, e ferramentas de teste de penetração; capacidade de sintonizar controles e validar a saída da ferramenta em vez de depender exclusivamente da gravidade do scanner. • Forte capacidade de automação e engenharia de software em Python e pelo menos uma das APIs PowerShell, JavaScript/TypeScript, Go, Java, C# ou shell; experiência consumindo APIs REST/GraphQL, processamento de dados estruturados, testes de escrita e manutenção de código de qualidade de produção. • Experiência de integração de ferramentas de segurança com CI/CD e plataformas de engenharia, como GitHub, GitLab, Azure DevOps, Jenkins, Jira, ou tecnologias comparáveis. • Experiência comprovada aplicando ferramentas de segurança assistidas por IA ou habilitadas para aprendizado de máquina para revisão de código fonte, triagem de vulnerabilidade, análise de exploit-path, geração de teste, suporte de remediação ou correlação. • Capacidade de avaliar criticamente a saída de IA, reconhecer alucinações e recomendações inseguras, proteger código-fonte sensível e dados, projetar a validação humana-no-loop, e estabelecer controles de qualidade e governança mensuráveis. • Conhecimento de riscos seguros de desenvolvimento assistido por IA, incluindo injeção rápida, manipulação de saída insegura, agência excessiva, divulgação de informações sensíveis, preocupação com a cadeia de suprimentos de modelo ou dependência e abuso de código gerado. • Experimente a segurança de aplicativos nativos de nuvem no Microsoft Azure, Amazon Web Services e/ou Google Cloud Platform, incluindo identidade, segredos, cargas de trabalho, APIs, contêineres, serviços sem servidor e Kubernetes. • Conhecimento sobre modelagem de ameaças, princípios de arquitetura segura, segurança de cadeias de suprimentos de software, conceitos SBOM/VEX, integridade de artefatos, governança de dependência e práticas de procedência ou atestação. • Capacidade de comunicar riscos técnicos claramente a desenvolvedores, arquitetos, executivos, auditores e stakeholders não técnicos, e traduzir resultados em ações de engenharia priorizadas. • Capacidade de liderar através da influência, exercício de bom julgamento sob a incerteza, mentor outros, e equilibrar resultados de segurança com as necessidades do cliente e do negócio. Educação/Experiência anterior: • Tipicamente requer um bacharelado em ciência da computação, engenharia de software, cibersegurança, sistemas de informação, ou um campo relacionado e 5 ou mais anos de experiência relevante; uma combinação equivalente de educação, formação e experiência pode ser considerada. • Normalmente requer 3 ou mais anos de segurança prática de aplicação, segurança do produto, teste de penetração, desenvolvimento seguro de software ou experiência de avaliação de segurança de software. • Experiência comprovada desenvolvendo automação de segurança e integrando controles de segurança de aplicativos em fluxos de trabalho CI/CD. • Experiência prática usando recursos assistidos por IA para análise de vulnerabilidade de aplicativos, com evidências de validação, governança e melhoria mensurável nos resultados de segurança. • Uma ou mais das seguintes certificações, ou a capacidade de obter uma certificação relevante no prazo de um ano, é preferível: • GIAC Web Application Penetration Tester (GWAPT), GIAC certificado Web Application Defender (GWEB), ou certificação de segurança de aplicação comparável. • Ofensiva Segurança Web Expert (OSWE) ou certificação de avaliação avançada comparável. • Certificação AWS, Microsoft Azure, Google Cloud, Kubernetes ou DevSecOps relevantes para o ambiente atribuído. Educação Bacharelado: Tecnologia da Informação, Bacharelado (obrigatório) Experiência no trabalho Experiência Geral - 6 a 10 anos Certificações Viagens Estilo de trabalho Híbrido A compensação total para esta posição inclui salário base ou salários, e pode incluir componentes como compensação adicional (dinheiro ou capital próprio), bônus discricionários, ou comissões. Esta posição é elegível para um pacote de prestações que pode incluir cuidados médicos, dentários e visão; seguro de vida; seguro de doença crítica e seguro de acidente; prestações de invalidez; poupanças de aposentadoria; férias pagas (incluindo férias, férias e licença médica); e licença parental. A elegibilidade para benefícios e ofertas específicas pode variar com base na posição e no estatuto de emprego. Para ver mais detalhes dos benefícios oferecidos, visite Myrjbenefits.com. Na Raymond James, nossos associados usam cinco comportamentos orientadores (Desenvolvimento, Colaboração, Decida, Entregar, Melhorar) para entregar os valores fundamentais da empresa em primeiro lugar, integridade, independência e uma visão conservadora de longo prazo. Esperamos que nossos associados em todos os níveis: • Crescer profissionalmente e inspirar outros a fazer o mesmo • Trabalhar com e através de outros para alcançar os resultados desejados • Fazer escolhas rápidas e pragmáticas e agir com o cliente em mente • Tomar posse e manter-se e outros responsáveis por entregar resultados que importam • Contribuir para a evolução contínua da empresa Na Raymond James – como parte de nossa cultura de primeira pessoa, honramos, valorizamos e respeitamos a singularidade, experiências e origens de todos os nossos Associados. Quando os associados trazem seus melhores eus autênticos, nossa organização, clientes e comunidades prosperam. A empresa é um empregador de igualdade de oportunidades e toma todas as decisões de emprego com base no mérito e necessidades de negócios.